搜索

[675] 2019-03-01_使用贝叶斯网络来识别0day攻击路径

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-03-01_使用贝叶斯网络来识别0day攻击路径 使 用 贝 叶 斯 网 络 来 识 别 0 d a y 攻 击 路 径 A r k T e a m   2 0 1 9 - 0 3 - 0 1 作 者 ： { E s i } @ A r k T e a m 原 文 作 者 ： X i a o y a n   S u n   ,   J u n   D a i ,   P e n g   L i u ,   A n o o p   S i n g h a l ,   a n d   J o h n   Y e n 原 文 标 题 ： U s i n g   B a y e s i a n   N e t w o r k s   f o r   P r o b a b i l i s t i c   I d e n t i f i c a t i o n   o f   Z e r o - D a y   A t t a c k   P a t h s 原 文 出 处 ： I E E E   T r a n s a c t i o n s   o n   I n f o r m a t i o n   F o r e n s i c s   a n d   S e c u r i t y ,   2 0 1 8 ,   1 3 ( 1 0 ) :   2 5 0 6 - 2 5 2 1 . 执 行 各 种 安 全 措 施 （ 例 如 入 侵 检 测 系 统 等 ） 可 以 为 计 算 机 网 络 提 供 一 定 程 度 的 保 护 。 但 是 面 对 0 d a y 攻 击 ， 这 种 安 全 措 施 往 往 不 尽 如 人 意 。 由 于 攻 击 者 和 防 御 者 之 间 的 信 息 不 对 称 ， 检 测 0 d a y 攻 击 仍 然 是 一 个 挑 战 。 为 了 更 好 的 检 测 0 d a y 攻 击 ， 我 们 认 为 在 攻 击 路 径 上 进 行 检 测 是 一 种 更 加 可 行 的 策 略 ， 0 d a y 攻 击 路 径 可 以 认 为 是 整 个 攻 击 路 径 中 包 含 一 个 或 多 个 0 d a y 攻 击 。 这 样 认 为 的 原 因 是 攻 击 者 很 难 确 保 攻 击 路 径 上 的 所 有 攻 击 都 是 0 d a y 攻 击 ， 因 此 可 以 做 出 以 下 假 设 ： 1 ） 可 以 通 过 某 种 方 式 检 测 非 0 d a y 攻 击 ， 例 如 通 过 入 侵 检 测 系 统 等 ; 2 ） 可 检 测 的 非 0 d a y 攻 击 与 0 d a y 攻 击 具 有 一 定 的 链 接 关 系 。 在 本 文 中 ， 我 们 提 出 了 一 种 概 率 方 法 ， 并 实 现 了 原 型 系 统 Z e P r o ， 用 于 0 d a y 攻 击 路 径 识 别 。 在 本 文 的 方 法 中 ， 0 d a y 攻 击 路 径 本 质 上 是 一 个 图 。 为 了 捕 获 零 日 攻 击 ， 首 先 通 过 分 析 系 统 调 用 使 用 对 象 实 例 来 构 建 超 图 。 为 了 进 一 步 揭 示 隐 藏 在 超 图 中 的 0 d a y 攻 击 路 径 ， 我 们 的 系 统 基 于 实 例 图 构 建 贝 叶 斯 网 络 。 通 过 将 入 侵 证 据 作 为 输 入 ， 贝 叶 斯 网 络 能 够 计 算 出 被 感 染 的 对 象 实 例 的 概 率 。 通 过 依 赖 关 系 连 接 高 概 率 的 实 例 形 成 一 条 路 径 ， 即 0 d a y 攻 击 路 径 。 图 1   系 统 架 构 本 文 的 主 要 贡 献 有 以 下 四 点 ： Z e P r o 是 第 一 个 采 用 概 率 方 法 来 进 行 0 d a y 攻 击 路 径 识 别 的 研 究 。 提 出 了 构 建 网 络 范 围 超 图 ， 然 后 确 定 隐 藏 在 其 中 的 零 日 攻 击 路 径 。 第 一 次 通 过 引 入 对 象 实 例 图 来 构 建 O S 级 别 的 贝 叶 斯 网 络 。 设 计 并 实 现 了 Z e P r o ， 可 以 有 效 地 自 动 识 别 0 d a y 攻 击 路 径 。 为 了 进 行 实 验 评 估 ， 我 们 构 建 了 一 个 网 络 商 店 测 试 平 台 ， 以 模 拟 小 规 模 的 真 实 企 业 网 络 ， 如 图 2 的 攻 击 场 景 ， 整 个 实 验 分 为 了 3 步 进 行 ： 1 .   攻 击 者 利 用 漏 洞 C V E - 2 0 0 8 - 0 1 6 6 通 过 暴 力 密 钥 猜 测 攻 击 获 得 S S H 服 务 器 的 r o o t 权 限 。 2 .   由 于 N F S 服 务 器 上 的 导 出 表 未 正 确 设 置 ， 攻 击 者 可 以 将 恶 意 可 执 行 文 件 上 传 到 N F S 上 的 公 共 目 录 。 恶 意 文 件 包 含 可 以 利 用 特 定 工 作 站 上 的 漏 洞 的 特 洛 伊 木 马 程 序 。 公 共 目 录 在 测 试 台 网 络 中 的 所 有 主 机 之 间 共 享 ， 以 便 工 作 站 可 以 访 问 和 下 载 此 恶 意 文 件 。 3 .   一 旦 恶 意 文 件 被 安 装 并 安 装 在 工 作 站 上 ， 攻 击 者 就 能 够 在 工 作 站 上 执 行 任 意 代 码 。
图 2   攻 击 场 景 由 于 通 常 很 难 获 得 0 d a y 漏 洞 ， 我 们 用 已 知 漏 洞 来 进 行 模 拟 。 例 如 ， 假 设 当 前 时 间 是 2 0 0 8 年 1 2 月 3 1 日 ， C V E - 2 0 0 9 - 2 6 9 2 被 视 为 0 d a y 漏 洞 。 此 外 ， 其 他 安 全 漏 洞 （ 如 N F S 上 的 配 置 错 误 ） 也 可 视 为 一 种 特 殊 类 型 的 未 知 漏 洞 ， 只 要 这 些 漏 洞 不 被 漏 洞 扫 描 程 序 扫 描 到 即 可 。 实 验 结 果 表 明 Z e P r o 能 够 重 建 攻 击 故 事 情 节 ， 例 如 攻 击 如 何 发 生 ， 访 问 了 哪 些 文 件 ， 以 及 引 发 的 警 报 是 否 具 有 相 关 性 等 ， 本 文 方 法 的 一 个 优 点 是 ， 即 使 没 有 为 特 定 漏 洞 提 供 证 据 ， 所 识 别 的 路 径 也 提 供 了 揭 示 隐 藏 漏 洞 的 上 下 文 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理